Android sıfır tıklama açığı kapatıldı, ancak birçok telefon yamayı alamayabilir

Google, kullanıcıların tıklamasına veya onay vermesine gerek kalmadan bilgisayar korsanlarının telefonu ele geçirmesine izin verebilecek kritik bir Android güvenlik açığını kapattı. En ciddi hata, önizleme görüntüleri üreten medya işleme kodunda bulunuyor. Aktif Android cihazların neredeyse yarısı yamayı hiç alamayacak.

Medya kodundaki sıfır tıklama açığı

Kasım 2026 Android Güvenlik Bülteni, kullanıcıların hiçbir şey fark etmeden bilgisayar korsanlarının istismar edebileceği kritik bir uzaktan kod çalıştırma güvenlik açığı konusunda uyarıyor. Bildirimde en ciddi sorunun, ek yürütme ayrıcalığı gerekmeden ve kullanıcı etkileşimi olmadan uzaktan kod çalıştırma ile sonuçlanabilecek Framework bileşenindeki kritik bir güvenlik açığı olduğu söyleniyor. Vurgulanan hata, desteklenen tüm Android 14 ile 17 sürümlerini etkiliyor. Güvenlik desteği sona ermiş daha eski Android sürümleri de savunmasız olabilir, çünkü savunmasız bileşen 2017'ye kadar uzanıyor. Hata CVE-2026-58868 olarak izleniyor ve sınırlar dışında yazmaya yol açan bir yığın arabellek taşması olarak tanımlanıyor. Android'in medya oynatmayı işleyen framework bileşeninde, video ve fotoğraf küçük resimleri gibi önizleme görüntüleri oluşturan FrameDecoder.cpp içindeki savunmasız bir işlevde bulunuyor. Şu anda herkese açık bir kavram kanıtı istismarı mevcut değil ve Google, doğada aktif istismarı doğrulamadı. Ancak yapay zekâ destekli saldırganlar, bültenin ilk yayımlanmasından 48 saat sonra kaynak kodu herkese açık hale geldiğinde yamaları nispeten hızlı biçimde tersine mühendislikle analiz edebilir. Tüm kullanıcıların cihazlarını 2026-11-01 veya daha yeni en güncel güvenlik yama düzeyine güncellemeleri tavsiye ediliyor.

Birçok cihaz yamayı alamayabilir

Android'in dağıtım verileri, aktif cihazların %43,6'sının hâlâ güvenlik desteği sona ermiş ve yeni düzeltmelerin alınmadığı Android 13 veya daha eski sürümlerde çalıştığını gösteriyor. Daha yeni Android cihazlarda her üreticinin yamayı oluşturması ve göndermesi gerekir; bu da gecikmeyle sonuçlanabilir. Vaat edilen güncelleme penceresini aşmış birçok bütçe telefonu da Kasım yamasını hiç alamayabilir. Çeşitli tahminlere göre Android, kullanıcı tabanı 4 milyara yaklaşan en popüler mobil işletim sistemidir.

Kasım güncellemesi 216 açığı kapatıyor

Android güvenlik güncellemesi toplamda 23 kritik güvenlik açığı ve 193 daha az ciddi hatayı gideriyor. Güncellemeye, saldırganların Android'in telefon hizmetini çökertmesine, acil durum aramaları dahil etkin aramaları sonlandırmasına ve potansiyel olarak yeniden başlatma döngüsüne neden olmasına olanak tanıyan kritik bir SMS of Death güvenlik açığı için bir düzeltme de dahil. 9,8/10 şiddet derecesiyle değerlendirilen CVE-2026-58876 ve CVE-2026-58936 kritik sistem güvenlik açıklarının ikisi de ek yürütme ayrıcalığı veya kullanıcı etkileşimi gerektirmeden uzaktan kod çalıştırma ile sonuçlanabilir. Kötü amaçlı kodun yetkilerini yükseltmesini sağlayan birkaç kritik güvenlik açığı çekirdek bileşenlerinde tespit edildi. Google ayrıca MediaTek ve Qualcomm bileşenleri için kritik düzeltmeler ekledi.

Kaynaklar: Cybernews